Inicio / Protege tu empresa / Avisos Seguridad / Actualización para evitar robos en tiendas online Magento

Actualización para evitar robos en tiendas online Magento

Fecha de publicación: 
22/02/2016
Importancia: 
3 - Media
Recursos afectados: 
  • Magento EE versiones anteriores a 1.14.2.0
  • Magento CE versiones anteriores a 1.9.1.1
Descripción: 

Recientemente la empesa de seguridad Sucuri ha informado de la existencia de un falso parche (en forma de malware) dirigido a las tiendas online que usan Magento. Este malware tiene el mismo nombre que una importante actualización (SUPE-5344) que solucionaba un fallo de seguridad que permitía al atacante crear una cuenta de administrador. Aprovechando esta vulnerabilidad los ciberdelincuentes introducen el falso parche con el malware . Este malware roba las credenciales y otros datos de los clientes de la tienda online.

Solución: 

Magento recomienda comprobar la seguridad de la tienda online. Es importante que remita esta información al equipo técnico que mantiene su portal web y que permanezcan atentos. Para evitar este problema, es importante que sigan los siguientes pasos:

1. Confirmar que se han instalado todos los parches necesarios y guardar un registro para futuras referencias. En esta página Magereport.com puede comprobar que parches tiene instalados.

2. El parche SUPEE-5344 es una actualización esencial que debe aplicarse a todas las versiones de Magento; si aún no ha instalado el parche, es urgente que tome medidas para auditar y depurar su sitio.

3. Descargue e instale los parches de seguridad adecuados para su versión de directamente de Magento.

  • Para tiendas con Enterprise Edition: vaya a My Account, seleccione la pestaña Downloads y vaya a Magento Enterprise Edition > Support Patches
  • Para tiendas con Community Edition: los parches se encuentran en la página de descargas de CE.
  • Para partners: Ir al portal Partner Portal, seleccioneTechnical Resources y después Download desde el panel Enterprise Edition.

Para la instalación del parche se recomienda seguir las instrucciones en:

Adicionalmente pueden revisar las buenas prácticas de seguridad para estos productos:

Disponen también de una Guía básica de seguridad en Magento en la que consultar cómo reforzar la seguridad de su tienda online Magento.

Detalle: 

La actualización SUPE-5344 (shoplift bug pactch), de febrero de 2015, soluciona un fallo de seguridad que permite a los ciberdelincuentes tomar control de la tienda suplantando al administrador.

Los ciberdelincuentes, conocedores de la importancia de este parche, de la existencia de tiendas sin actualizar y aprovechando esta vulnerabilidad, han creado un malware con la apariencia del parche que:

  • roba las credenciales y otros datos de los clientes de la tienda
  • ejecuta código en el servidor
  • cambia los permisos de los ficheros de Magento

¿Te gustaría recibir estos avisos en tu lector de RSS? Anímate y suscríbete a nuestro servicio de RSS o perfil de twitter @incibe  (se abre en nueva ventana) y Facebook "protegetuempresa". Serás el primero en enterarte de los últimos avisos de seguridad para empresas.